UnisGuard容器安全防護平臺

UnisGuard容器安全防護平臺采用自動(dòng)檢測、自動(dòng)分析、自動(dòng)處理的方式來(lái)防御整個(gè)容器生命周期中所遇到的安全威脅，在防護技術(shù)上使用智能測試、機器學(xué)習與威脅預測的方式來(lái)確保容器及容器內的應用安全。

鏡像安全

容器防護平臺支持對容器鏡像制作過(guò)程、鏡像運行、鏡像發(fā)布進(jìn)行全方位的監控和檢測。提供了自動(dòng)獲取節點(diǎn)和倉庫中的鏡像并從CVE漏洞、CNNVD漏洞、木馬病毒、可疑歷史操作、敏感信息泄露、以及是否是可信任鏡像等多個(gè)維度對鏡像進(jìn)行掃描。

容器安全

容器安全防護平臺支持對容器內行為進(jìn)行檢測。當發(fā)現容器逃逸行為、讀取敏感信息、啟動(dòng)惡意進(jìn)程、掛載非法設備、映射敏感目錄、修改命名空間等惡意行為時(shí)，根據預設策略觸發(fā)報警或阻斷容器運行，并對發(fā)現異常的POD進(jìn)行隔離。

微服務(wù)安全

容器防護平臺提供了對微服務(wù)、應用進(jìn)行周期性的檢測。支持自動(dòng)檢測發(fā)現Kubernetes集群內的微服務(wù)以及API并通過(guò)可視化視角展示出來(lái)。能夠通過(guò)手動(dòng)或周期性自動(dòng)發(fā)現的微服務(wù)以及API進(jìn)行安全風(fēng)險掃描。

集群安全

針對不同的項目情況、支持對Kubernetes、OpenShift 、Rancher等集群的不同版本進(jìn)行安全風(fēng)險掃描。對于部署資源所編寫(xiě)的編排文件，支持一鍵同步并掃描編寫(xiě)內容是否存在風(fēng)險以及是否符合編寫(xiě)規范。并支持對集群內的組件進(jìn)行檢查和對集群的審計通過(guò)多方位的檢測方式保證集群的安全。

資產(chǎn)管理

資產(chǎn)管理類(lèi)型包括容器、鏡像、倉庫、主機、POD等，為用戶(hù)提供容器內資產(chǎn)的分類(lèi)視圖，支持對每一類(lèi)資產(chǎn)進(jìn)行數據分級聚合展示，實(shí)現容器資產(chǎn)的全面可視化，幫助用戶(hù)更直觀(guān)的了解當前系統內的資產(chǎn)情況。

漏洞管理

系統實(shí)時(shí)監控所有節點(diǎn)鏡像和遠程鏡像倉庫中鏡像漏洞和運行容器的漏洞，通過(guò)對漏洞整合進(jìn)行風(fēng)險分析確定最急需處理的風(fēng)險，幫助客戶(hù)快速有效的解決風(fēng)險。并為運維人員提供漏洞信息、漏洞類(lèi)型、漏洞介紹、修復建議、參考地址等信息。

網(wǎng)絡(luò )可視化

容器防護平臺自動(dòng)檢測發(fā)現Kubernetes集群內的運行容器，應用以及鏡像，關(guān)聯(lián)相對應的安全風(fēng)險進(jìn)行匯總，展示安全風(fēng)險的數量以及風(fēng)險級別的分布。

多面鏡像安全檢測能力

支持識別容器鏡像的基礎鏡像以及應用程序中間件漏洞檢測，通過(guò)對制作的鏡像文件進(jìn)行安全掃描，以發(fā)現鏡像文件中的安全漏洞、鏡像文件中的木馬病毒等安全風(fēng)險，對風(fēng)險鏡像提供安全加固建議。

容器安全監測能力

對容器內應用的安全漏洞識別、網(wǎng)絡(luò )威脅檢測，對容器運行過(guò)程進(jìn)行全程的安全監控，進(jìn)而對容器訪(fǎng)問(wèn)宿主機的資源進(jìn)行監控，防止有越權訪(fǎng)問(wèn)破壞容器隔離性的行為，從而保證容器內應用的安全。

通過(guò)行為學(xué)習構建容器行為模型

容器開(kāi)始運行后，按照相應的學(xué)習策略，自動(dòng)學(xué)習容器的進(jìn)程行為、文件讀寫(xiě)行為與網(wǎng)絡(luò )訪(fǎng)問(wèn)行，為目標容器構建行為模型，保證容器運行中的安全，即使用戶(hù)沒(méi)有自定義安全策略，默認策略仍能保證基本的安全防護需求。

兼容多種運行環(huán)境

面對不同客戶(hù)的復雜環(huán)境，支持支持Ubuntu、CentOS、銀河麒麟等多種不同操作系統的多個(gè)版本、支持Docker 1.13.X及以上版本等多種運行環(huán)境，滿(mǎn)足不同環(huán)境所需。

支持鏡像加固

支持對容器鏡像制作到發(fā)布進(jìn)行全方位的監控和檢測。對于存在高風(fēng)險的鏡像，平臺能夠給出相應的加固建議，協(xié)助研發(fā)人員對鏡像進(jìn)行加固，確保鏡像的安全質(zhì)量達到發(fā)布要求。

容器防護平臺支持全組件容器化部署，采用云原生的形態(tài)，防護云原生安全，具有以下特點(diǎn)： ● 資源隔離：通過(guò)資源限制，即使故障也不影響業(yè)務(wù)進(jìn)程 ● 彈性擴縮容：可隨集群規模進(jìn)行動(dòng)態(tài)擴縮容，無(wú)須人工干預 ● 兼容性強：與底層操作系統無(wú)關(guān)，只要支持容器，即可兼容適配 ● 健康管理：不會(huì )被殺死, 不會(huì )被篡改, 秒級自啟動(dòng)

針對容器出現的風(fēng)險和威脅性，傳統防護手段已經(jīng)失效，縱觀(guān)容器的生命周期，容器中的應用是由模板文件進(jìn)行編譯成鏡像，鏡像通過(guò)運行變成容器，最終以容器的方式運行其中的應用。在整個(gè)容器的安全生命周期中，容器安全防護平臺采用自動(dòng)檢測、自動(dòng)分析、自動(dòng)處理的方式來(lái)防御整個(gè)容器生命周期中所遇到的安全威脅，使用智能檢測、機器學(xué)習與威脅預測，來(lái)確保容器應用安全，從容器視角為云原生的全生命提供整體安全防護的解決方案。